CVE-2026-9792
Açıklama
Keycloak'ın Client Policies özelliğinde, özellikle `org.keycloak.protocol.oidc` bileşeni içerisinde bir açık bulundu. Güvenlik kısıtlamalarını uygulamak için belirli koşul sağlayıcılar (client-type, client-roles, client-attributes, client-scopes) kullanıldığında, `reject-ropc-grant` yürütücüsü sessizce atlanmaktadır. Bu durum, kimliği doğrulanmamış uzak bir saldırganın, engellemek için açıkça yapılandırılmış bir politika olsa dahi, Resource Owner Password Credentials (ROPC) grant aracılığıyla token elde etmesine olanak tanır. Bu atlama işlemi, yetkisiz erişime ve bilgi ifşasına yol açabilir.
Nasıl düzeltilir
- org.keycloak:keycloak-services26.6.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redhat build_of_keycloak | Aralık belirtilmemiş | — |
| org.keycloak:keycloak-servicesMaven | 26.5.0 ≤ v < 26.6.3, v ≤ 26.4.7 | 26.6.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.